WordPress forceert UpdraftPlus-update op 2,8 miljoen websites
WordPress heeft op 2,8 miljoen websites die gebruikmaken van de UpdraftPlus-plug-in een beveiligingsupdate geïnstalleerd. Via de kwetsbaarheid kan een aanvaller toegang tot databaseback-ups krijgen, die gebruikersnamen en gehashte wachtwoorden kunnen bevatten.
UpdraftPlus is een plug-in voor het maken van back-ups van WordPress-sites naar de cloud. Zo is het mogelijk om direct een back-up in bijvoorbeeld Dropbox of Google Drive op te slaan. Een kwetsbaarheid in de plug-in maakt het mogelijk voor gebruikers met een account, waaronder het allerlaagste subscriber-niveau, om back-ups van de website te downloaden.
De kwetsbaarheid, aangeduid als CVE-2022-0633, werd gevonden door securitybedrijf Jetpack. De ontwikkelaars van UpdraftPlus werden op 14 februari over het probleem ingelicht en kwamen op 16 februari met versie 1.22.3 waarin het probleem is verholpen. Vervolgens werd door WordPress tot "forced auto-updates" besloten.
UpdraftPlus is op meer dan drie miljoen websites geïnstalleerd. Uit cijfers van WordPress blijkt dat zo'n 2,8 miljoen websites de update inmiddels hebben ontvangen. Het komt zelden voor dat WordPress een update geforceerd uitrolt. Vorig jaar deed het dit onder andere voor lekken in een WooCommerce-plug-in en de Jetpack-plug-in.
Dit gaat ver (forced auto-updates) maar ik zie eigenlijk ook geen andere manier om die PHP scriptkiddies bij de les te houden. Het is meestal code and forget bij die lui dus je hoeft er niet echt op te rekenen dat ze zelf updates op tijd installeren (als ze dat überhaupt al zouden kunnen). Soms gaat het uitstellen van patches of er zelfs niet van bewust zijn, ten koste van onze persoonlijke informatie, omdat de boel dan gehackt wordt.
Juist die mentaliteit heeft ervoor gezorgd dat WP-plugins zo'n ramp zijn. Iedereen denkt het beter te weten en schrijft zelf iets nieuws met alle kinderziektes van dien. Vervolgens wordt het vergeten en blijft de code vol lekken circuleren in de community.
Kijk eens naar hoe bijvoorbeeld Drupal dat totaal anders aanpakt. Support vanuit het core team voor een groot aantal plugins die bovendien verifieerbaar goed worden onderhouden. Je kunt ook zien hoeveel gebruikers er zijn en hoeveel bugs er open staan en opgelost zijn.
Juist die mentaliteit heeft ervoor gezorgd dat WP-plugins zo'n ramp zijn. Iedereen denkt het beter te weten en schrijft zelf iets nieuws met alle kinderziektes van dien. Vervolgens wordt het vergeten en blijft de code vol lekken circuleren in de community.
Kijk eens naar hoe bijvoorbeeld Drupal dat totaal anders aanpakt. Support vanuit het core team voor een groot aantal plugins die bovendien verifieerbaar goed worden onderhouden. Je kunt ook zien hoeveel gebruikers er zijn en hoeveel bugs er open staan en opgelost zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
